Fuite massive Tchap : 643 000 messages et 73 000 agents exposés

Temps de lecture : 4 min

Ce qui s’est passé : les faits et les chiffres

Commençons par poser les bases. Début juin 2026, un cybercriminel a revendiqué sur un forum (via le collectif French Breaches) avoir réussi à exfiltrer un volume considérable de données issues de Tchap, la messagerie instantanée sécurisée de l’administration française. Les chiffres annoncés donnent le vertige : 643 000 messages, 73 000 agents publics concernés, 876 salons dont l’historique serait consultable, et près de trois années d’échanges internes. Sur le terrain, les autorités parlent d’une « intrusion maîtrisée » — une formule que je trouve légèrement euphémique quand on parle d’un volume de données équivalent à plusieurs bibliothèques de correspondances sensibles. Décortiquons ça.

Comment l’attaque a fonctionné techniquement

L’élément le plus important à comprendre est que le pirate n’a pas exploité une faille dans le code de Tchap ni une vulnérabilité zero-day. Non. Selon les sources concordantes, il a obtenu l’accès initial via un compte utilisateur compromis, appartenant à un environnement de l’Éducation nationale. En pratique, le mode opératoire ressemble à ceci :

• Compromission d’un compte légitime : probablement via phishing, rejeu de mots de passe ou infostealer ayant subtilisé des tokens de session.
• Exploration des fonctionnalités : le pirate a ensuite utilisé ce compte pour naviguer dans les espaces collaboratifs auxquels il avait accès, aspirant messages, fichiers et listes de participants.
• Exfiltration massive : en automatisant la récupération des données via les API ou en effectuant des exports manuels.

Ce qui compte vraiment ici, c’est que Tchap, bien que souveraine et chiffrée de bout en bout, n’a pas protégé les données contre une compromission interne. Une fois qu’un attaquant détient des identifiants valides, il devient un utilisateur de confiance aux yeux du système. C’est exactement la même faille que l’on retrouve dans 95 % des incidents chez les PME que j’accompagne. Leçon : la sécurité ne s’arrête pas au chiffrement des messages ; elle passe par la gestion des identités et des accès.

Impact réel pour les agents et l’administration

Passons au concret. Que représentent ces 643 000 messages ? Il ne s’agit probablement pas de secrets nucléaires, mais d’échanges opérationnels quotidiens : discussions de projets, comptes rendus de réunions, décisions internes. L’impact immédiat est triple :

1. Atteinte à la vie privée : les conversations personnelles ou semi-professionnelles des agents sont exposées.
2. Risque réputationnel : des contenus embarrassants ou politiquement sensibles peuvent être rendus publics.
3. Fuites de données métiers : des informations sur les processus internes, les partenaires ou les stratégies.

Pour les 73 000 agents concernés, cela signifie potentiellement que leurs adresses mail, leurs noms, leurs services et leurs habitudes de travail sont désormais entre les mains d’acteurs malveillants. Sans langue de bois, je considère ce volume comme un incident majeur pour la cybersécurité française, qui rappelle à quel point la chaîne de confiance numérique est fragile.

Analyse coût/bénéfice : les leçons pour les TPE et PME

Ce qui est fascinant avec ce cas, c’est qu’il est totalement transposable aux entreprises. Que vous utilisiez Teams, Slack, Mattermost ou Tchap, le maillon faible reste l’utilisateur. En tant qu’architecte cloud, je vois tous les jours des organisations dépenser des fortunes en pare-feu et en antivirus tout en négligeant l’hygiène de base : MFA obligatoire, politique de mots de passe robuste, audit des accès, et sensibilisation au phishing. Coût de ces mesures ? Souvent inférieur à celui d’un antivirus grand public. Bénéfice ? Réduire drastiquement le risque d’intrusion par compte compromis.

Pour une PME, la checklist devrait inclure :

• Activer l’authentification multi-facteurs (MFA) sur toutes les messageries et outils collaboratifs.
• Limiter les droits d’accès au strict nécessaire (principe du moindre privilège).
• Auditer régulièrement les sessions actives et les connexions suspectes.
• Mettre en place une solution de détection d’intrusion (EDR) sur les postes utilisateurs.

Sans ces bases, aucun outil souverain ou chiffré ne protègera votre entreprise. Ce qui compte vraiment, c’est la gouvernance des accès, pas le nom du logiciel.

Perspective : faut-il arrêter d’utiliser Tchap ?

Non, bien sûr. Tchap reste une solution robuste sur le plan cryptographique, développée par la DINSIC et utilisée par des centaines de milliers d’agents. Cette intrusion ne remet pas en cause sa valeur. En revanche, elle met en lumière une erreur classique d’implémentation : on a misé sur la technologie au détriment des processus humains. Sur le terrain, je vois souvent ce déséquilibre. La solution ? Établir une politique de sécurité des accès et la faire respecter. L’ANSSI le répète : 90 % des cyberattaques réussies commencent par un email de phishing. Ici, c’est un compte compromis qui a servi de porte d’entrée. Le pattern est toujours le même.

Ce que chaque DSI doit retenir

Je vous le dis sans détour : la fuite Tchap est un avertissement gratuit pour toutes les organisations qui utilisent des messageries collaboratives. Ne vous bercez pas d’illusions : même le meilleur chiffrement ne vous protégera pas si vos collaborateurs utilisent des mots de passe faibles ou cliquent sur des liens frauduleux. Priorisez donc :

• La formation à la cybersécurité de vos équipes (phishing, gestions des mots de passe).
• Le déploiement de l’authentification forte partout.
• La surveillance des accès et la mise en place d’alertes en cas d’anomalies.

C’est le genre de mesure que j’applique systématiquement chez mes clients PME, et leur TCO (coût total de possession) de la sécurité en est divisé par deux comparé à des entreprises qui se focalisent sur des outils sophistiqués sans corriger la base.

En résumé

L’intrusion dans Tchap nous rappelle une vérité, inconfortable mais implacable : la cybersécurité ne se résume pas à un logiciel. C’est un mélange de technologie, de processus et de comportements humains. Ce n’est pas la messagerie qui a été piratée, mais un de ses utilisateurs. Et tant que nous n’aurons pas intégré cette nuance, les fuites de données continueront. Pour les entreprises, c’est un signal d’alarme : investissez dans la gestion des identités et dans la pédagogie. C’est là que se joue la véritable sécurité. Sur le terrain, je le vois tous les jours. Et vous ?

Mathias Courtois

Ingénieur systèmes et architecte cloud pendant 8 ans chez un leader européen de l’hébergement, reconverti dans l’analyse tech et business. Passionné par l’intersection entre infrastructure IT, IA générative et transformation digitale des entreprises. J’aide les décideurs et les équipes techniques à naviguer dans l’écosystème tech sans bullshit marketing.